Development and Validation of the Organizational Cybersecurity Perception Scale: A Protection Motivation Theory Instrument Contextualized by NIST CSF 2.0

تخيل العالم الرقمي كمدينة ضخمة ومزدحمة، حيث كل مبنى هو شركة، وكل طريق هو كابل بيانات، وكل مواطن هو موظف. في هذه المدينة، تحاول وحوش غير مرئية تُسمى "التهديدات السيبرانية" باستمرار الاقتحام، أو سرقة الكنوز، أو إثارة الفوضى. لفترة طويلة، اعتقد مخططو المدن (خبراء التكنولوجيا) أن الطريقة الوحيدة للحفاظ على سلامة المدينة هي بناء جدران أقوى، وتركيب أقفال أفضل، وتعيين المزيد من الحراس. لكنهم أدركوا شيئًا مهمًا: حتى أقوى القلاع تسقط إذا لم يؤمن الناس الذين يعيشون بداخلها بأن الجدران حقيقية، أو إذا اعتقدوا أن الحراس عديمو الفائدة، أو إذا شعروا أن القواعد مجرد عبء مزعج للغاية.

هنا يأتي دور فكرة شهيرة تسمى نظرية دافع الحماية (Protection Motivation Theory). فكر فيها كقائمة مراجعة ذهنية يجريها عقلنا عندما نواجه خطرًا ما. أولاً، نسأل: "ما مدى سوء الأمر إذا حدث هذا؟" (تقييم التهديد). ثم نسأل: "هل يمكنني إيقافه؟ هل هناك خطة؟ هل يتطلب الأمر جهدًا كبيرًا؟" (تقييم القدرة على المواجهة). إذا كانت الإجابة على الجزء الثاني هي "نعم، يمكنني التعامل مع الأمر"، فإننا نشعر بالدافع للتحرك. ومع ذلك، فقد ركزت معظم الدراسات فقط على كيفية شعور الأفراد تجاه كلمات المرور الخاصة بهم أو النقر على الروابط. لم يسألوا حقًا: "كيف يشعر الموظف تجاه قدرة الشركة بأكملها على محاربة هذه الوحوش؟"

دخل إطار عمل NIST للأمن السيبراني، وهو بمثابة مخطط رسمي ضخم لكيفية إدارة سلامة المدينة. هو لا يخبرك بما يجب أن تشعر به، ولكنه يسرد الوظائف الست التي تحتاج المدينة للقيام بها: الحوكمة (وضع القواعد)، تحديد الهوية (إيجاد نقاط الضعف)، الحماية (بناء الجدران)، الكشف (رصد المتسللين)، الاستجابة (المقاومة)، والتعافي (إصلاح الفوضى). والسؤال الكبير الذي أراد هذا الفريق البحثي الإجابة عليه هو: هل يمكننا إنشاء أداة لقياس كيفية إدراك الموظفين لسلامة مدينتهم بدقة، باستخدام قائمة المراجعة الذهنية لنظرية دافع الحماية ولكن مع ملئها بالوظائف المحددة من مخطط NIST؟

---

الفكرة الكبرى: "رادار سلامة" جديد للشركات

قرر فريق من الباحثين من تركيا بناء أداة جديدة، أطلقوا عليها اسم مقياس إدراك الأمن السيبراني التنظيمي (PMT-OCPS). يمكنك التفكير في هذا المقياس كـ "رادار سلامة" يمكن للشركات استخدامه لمسح عقول موظفيها. فبدلاً من سؤال: "هل تعرف كيفية تغيير كلمة مرورك؟" (وهو اختبار تقني)، يسأل هذا الرادار: "هل تعتقد أن فريق الأمن في شركتك جيد حقًا في إيقاف المخترقين؟" و"هل تشعر أن قواعد الأمن مزعجة للغاية لدرجة يصعب اتباعها؟"

بدأ الباحثون بمجموعة ضخمة مكونة من 46 سؤالًا. عرضوها على لجنة من الخبراء — علماء نفس، ومحترفي أمن سيبراني، وخبراء لغويين — لمراجعتها. قال الخبراء: "هذه الأسئلة جيدة، لكن دعونا نجعلها أكثر وضوحًا ونحذف الحشو". بعد بعض الصقل واختبار تجريبي صغير مع 47 شخصًا، قلصوا القائمة إلى 29 سؤالًا، ثم في النهاية إلى "رادار سلامة" محكم يتكون من 27 سؤالًا.

ما وجدوه: الركائز الست للشعور بالأمان

عندما اختبروا هذا الرادار الجديد على مجموعتين كبيرتين من الناس (519 شخصًا في الاختبار الأول، و400 شخص مختلف لتأكيد النتائج)، اكتشفوا أن الموظفين لا يمتلكون مجرد شعور واحد كبير تجاه الأمن. بدلاً من ذلك، يقسم عقلهم هذا الشعور إلى ست ركائز متميزة. الأمر يشبه امتلاك ستة مستشعرات مختلفة على سفينة فضائية، كل منها يفحص نظامًا مختلفًا:

1. الشدة المدركة: "ما مدى رعب الوحش؟" يقيس هذا مدى سوء ما يعتقده الموظفون بشأن وقوع هجوم سيبراني على الشركة (مثل خسارة المال، أو التعرض للمقاضاة، أو تدمير سمعتها).
2. الضعف المدرك: "ما مدى احتمالية وصول الوحش إلينا؟" يتعلق هذا بمدى شعور الموظفين بأن الأنظمة الرقمية لشركتهم معرضة للهجمات.
3. الفعالية الوقائية: "هل الدروع تعمل؟" يقيس هذا ما إذا كان الموظفون يعتقدون أن التدابير الوقائية للشركة (مثل تحديثات البرامج، والتدريب، والأقفال) فعالة حقًا في منع الهجمات قبل بدئها.
4. القدرة على التدخل: "هل يمكننا المقاومة؟" هذا اكتشاف جديد تمامًا! وجد الباحثون أن الموظفين يميزون بين "منع" الهجوم وبين "محاربته". تقيس هذه الركيزة ما إذا كان الموظفون يثقون في قدرة الشركة على رصد الهجوم، والاستجابة له بسرعة، والتعافي بعد حدوث الضرر.
5. الكفاءة الذاتية: "هل يمكنني المساعدة؟" هذا لا يتعلق بالشركة، بل بالموظف نفسه. هل يشعر الموظف بالقدرة على رصد رسالة بريد إلكتروني احتيالية أو الإبلاغ عن مشكلة؟
6. تكلفة الاستجابة: "هل الأمر متعب للغاية؟" يقيس هذا مدى إزعاج أو عبء قواعد الأمن بالنسبة للموظفين. إذا كانت القواعد تبدو كحقيبة ظهر ثقيلة، فإن هذا المقياس يرتفع، ويصبح الناس أقل عرضة لاتباعها.

لحظة "وجدتها!": الوقاية مقابل التدخل

الجزء الأكثر إثارة في هذه الدراسة هو ما حدث مع جزء "فعالية الاستجابة" في النظرية الأصلية. في الأيام الخوالي، اعتقد العلماء أن "فعالية الاستجابة" كانت مجرد وعاء واحد كبير: "هل تدابير السلامة تعمل؟". لكن هذه الدراسة أظهرت أنه في الشركة، ينقسم هذا الوعاء في الواقع إلى وعائين منفصلين: الوقاية (منع الأشرار عند البوابة) والتدخل (التعامل مع الفوضى إذا دخلوا).

يشير الباحثون إلى أن الموظفين أذكياء بما يكفي ليعرفوا أن امتلاك قفل رائع على الباب (الوقاية) يختلف عن امتلاك فريق طوارئ رائع جاهز لإصلاح الحريق إذا اندلع (التدخل). هذا الانقسام أمر بالغ الأهمية لأن الشركة قد تكون بارعة في جانب واحد وفاشلة في الآخر، وهذا الرادار الجديد يمكنه تمييز الفرق.

ما مدى جودة الرادار؟

لقد كان الباحثون حذرين للغاية. لم يكتفوا بالتخمين؛ بل قاموا بتحليل الأرقام.

• الموثوقية: الرادار ثابت. إذا أجريت الاختبار اليوم ومرة أخرى بعد ثلاثة أسابيع، ستحصل على نتيجة مماثلة تقريبًا (درجة استقرار بلغت .882).
• الدقة: الركائز الست التي وجدوها حقيقية ومتميزة. أظهرت البيانات أن "الوقاية" و"التدخل" هما بالفعل شعوران مختلفان، وليسا مجرد تكرار لنفس الشيء.
• التحقق من الواقع: اختبروا الرادار على مجموعتين مختلفتين: موظفي مؤسسة رياضية وموظفي جامعة. وجدوا أن الأشخاص الذين تلقوا تدريبًا على الأمن السيبراني كانوا أكثر ثقة (كفاءة ذاتية أعلى) وكانوا يرون أن القواعد أقل إزعاجًا (تكلفة استجابة أقل). كما وجدوا أن الأشماء الذين عرفوا بوجود "وحدة أمن سيبراني" محددة في شركاتهم شعروا بأن الشركة أفضل في القدرة على المقاومة (قدرة تدخل أعلى). وهذا يثبت أن الرادار يلتقط بالفعل الاختلافات الحقيقية في كيفية شعور الناس.

ماذا يعني هذا (وماذا لا يعني)

هذا المقياس الجديد هو أداة قوية للمؤسسات. هو لا يخبرك ما إذا كان الكمبيوتر مصابًا بفيروس؛ بل يخبرك بما إذا كان الناس يشعرون بالأمان والقدرة. إذا استخدمت شركة هذا الرادار ووجدت أن درجة "القدرة على التدخل" منخفضة، فإنهم يعرفون أنهم بحاجة إلى إظهار مدى كفاءة فريق الاستجاب للطوارات لديهم. وإذا كانت درجة "تكلفة الاستجابة" مرتفعة، فإنهم يعرفون أن قواعد الأمن لديهم معقدة للغاية وتحتاج إلى تبسيط.

ومع ذلك، فإن الباحثين صادقون بشأن الحدود. أُجريت هذه الدراسة في تركيا، ومعظمها على موظفي القطاع العام، لذا لا نعرف بالتأكد ما إذا كان الرادار يعمل بنفس الطريقة في بنك في نيويورك أو مصنع في طوكيو. أيضًا، هذه الدراسة سألت الناس عما يشعرون به فقط؛ ولم تراقب سلوكهم الفعلي لمعرفة ما إذا كانوا يتبعون القواعد حقًا. لكنها تشير بقوة إلى أن كيفية تفكير الموظفين في أمن شركاتهم هي قطعة ضخمة من اللغز كنا نفتقدها.

باختصار، قامت هذه الورقة البحثية ببناء بوصلة جديدة من ستة أجزاء لمساعدة الشركات على التنقل في الجانب البشري للأمن السيبراني. وهي توضح أنه للحفاظ على سلامة المدينة الرقمية، تحتاج إلى بناء جدران قوية، ولكنك تحتاج أيضًا إلى التأكد من أن المواطنين يؤمنون بأن الجدران تعمل، ويثقون في فريق الطوارات، ولا يشعرون بأن قواعد السلامة ثقيلة جدًا لحملها.